Sicherheitsfragebogen beantworten

Ein Kunde hat Ihnen gerade einen Sicherheitsfragebogen geschickt. So beantworten Sie ihn.

Jemand aus dem Einkauf hat Ihnen eine Tabelle geschickt. Vierzig Zeilen, vielleicht zweihundert, eine Frist und ein Vertrag, der sich nicht bewegt, bis sie zurück ist. Die meisten Datenschutzzeilen lassen sich aus Unterlagen beantworten, die Sie schon haben oder in einer Stunde erstellen. Diese Seite zeigt, welche Zeilen das sind, wie eine gute Antwort aussieht und was mit den Zeilen passiert, die nur Sie beantworten können.

Sehen, was Rowpa entwerfen kann Ausgefüllte Prüfung ansehen

Lesen Sie den ganzen Leitfaden. Nichts davon braucht ein Konto.

Was Sie da eigentlich in der Hand halten

Wie es auch heißt, und es heißt Lieferanten-Sicherheitsbewertung, Drittparteien-Fragebogen, Selbstauskunft oder irgendein Kürzel gefolgt vom Wort Lite: die Tabelle besteht aus vier Teilen übereinander.

Firmen- und Vertragsangaben. Rechtsträger, Anschrift, Zeichnungsberechtigung, Versicherung, Standorte. Zwanzig Sekunden pro Zeile, und Sie kennen sie alle.

Datenschutz. Welche personenbezogenen Daten Sie in ihrem Auftrag verarbeiten, wer sonst sie anfasst, wohin sie gehen, wie lange Sie sie aufbewahren, was bei einer Panne passiert, wie jemand seine Rechte ausübt. Meist ein Zehntel der Tabelle, manchmal die Hälfte, wenn eine Behörde oder ein Datenschutzbeauftragter fragt statt eines Sicherheitsteams.

Sicherheitsmaßnahmen. Mehrfaktor-Authentifizierung, Geräteverschlüsselung, Patches, Backups, Zugriffsprüfungen, Schadsoftwareschutz, Personalprüfung, Penetrationstests. Der größte Teil einer allgemeinen Bewertung und der Teil, der kleinen Lieferanten am meisten Angst macht.

Nachweisanforderungen. Richtlinie beifügen. Pentest-Zusammenfassung beifügen. Zertifikat beifügen. Das sind keine Fragen, das sind Dateianforderungen, und sie sind meist der Grund, warum die Tabelle eine Woche liegen bleibt.

Die vier Gruppen brauchen vier verschiedene Herangehensweisen, und wer die ganze Tabelle als eine lange Hausaufgabe behandelt, braucht dafür vierzehn Tage.

Die Zeilen, die Sie heute beantworten können, und was eine gute Antwort sagt

Führen Sie ein Verarbeitungsverzeichnis?

Eine gute Antwort benennt das Verzeichnis, sagt wann es zuletzt geprüft wurde und wie viele Tätigkeiten es umfasst, und bietet es an. "Ja, intern geführt, zuletzt geprüft am 21. August 2026, 19 Tätigkeiten, Auszug auf Anfrage." Eine schlechte Antwort ist das Wort Ja, denn es lädt zur Rückfrage ein, die Sie eine weitere Woche kostet.

Nennen Sie jeden Auftragsverarbeiter, der unsere Daten verarbeitet

Name, Aufgabe und Land, in dem die Daten liegen, für jeden einzelnen. Die Prüferin sieht nach, ob Sie es wissen, nicht ob die Liste kurz ist. Wenn Sie eine Liste unter fester Adresse veröffentlichen, geben Sie die URL an: sie beantwortet diese Zeile jetzt und jede künftige Änderung ohne weitere E-Mail.

Verlassen Daten die EU, und auf welcher Grundlage?

Nennen Sie Empfänger, Land und Mechanismus: Angemessenheitsbeschluss, Standardvertragsklauseln, UK-Addendum oder das EU-US-Rahmenwerk. "Nein" ist eine gültige Antwort, wenn sie stimmt, und die Prüferin gleicht sie mit Ihrer Auftragsverarbeiter-Liste ab, beides muss also zusammenpassen.

Welche Meldefrist sagen Sie bei einer Datenschutzverletzung zu?

Nennen Sie die Stundenzahl und sagen Sie, wann die Uhr startet. "Bestätigte Vorfälle, die Ihre Daten betreffen, innerhalb von 48 Stunden nach Bestätigung." Versprechen Sie keine 24 Stunden, um die Zeile zu gewinnen; Sie werden daran gemessen, und die 72 Stunden sind die Frist gegenüber der Aufsichtsbehörde, nicht Ihre gegenüber dem Kunden.

Wie bearbeiten Sie Betroffenenanfragen?

Sagen Sie, wer sie entgegennimmt, wie Sie den Eingang bestätigen und welche Frist Sie einhalten, nämlich einen Monat. Handeln Sie als deren Auftragsverarbeiter, ist die ehrliche und richtige Antwort, dass Sie die Anfrage weiterleiten und unterstützen, statt sie selbst zu beantworten.

Ist Mehrfaktor-Authentifizierung verpflichtend?

Antworten Sie pro System statt pauschal. "Ja für E-Mail und die Systeme mit Kundendaten; für die Buchhaltungssoftware noch nicht." Ein Teilweise überlebt man. Ein Ja, das die Prüferin im nächsten Gespräch widerlegt, nicht.

Backups, und haben Sie eine Wiederherstellung getestet?

Zwei verschiedene Fragen, und die zweite ist die entscheidende. Wenn Sie noch nie eine vollständige Wiederherstellung geübt haben, sagen Sie das und sagen Sie, wann Sie es tun. Prüferinnen sehen diese Antwort oft genug, um Ehrlichkeit zu erkennen, und sie schlägt ein Ja ohne Beleg.

Setzen Sie KI-Tools ein, und wird mit unseren Daten trainiert?

Die Zeile, die 2025 kam und heute auf fast jeder Tabelle steht. Nennen Sie die Werkzeuge, sagen Sie, was sie berühren, und sagen Sie, ob der Anbieter mit Ihren Daten trainiert. Haben Sie die Bedingungen des Anbieters nicht geprüft, prüfen Sie sie vor dieser Antwort.

Wie eine entworfene Prüfung aussieht, zehn Zeilen

Führen Sie ein Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30?

Ja. In Rowpa geführt, zuletzt geprüft am 21. August 2026, 19 Tätigkeiten.

Ihr Verzeichnis: Prüfstatus

Nennen Sie alle Auftragsverarbeiter, die unsere Daten verarbeiten, mit Hosting-Standort.

Entwurf aus dem Dienstleisterverzeichnis. Prüfen Sie vor dem Versand für jeden Dienstleister den aktuellen Standort, Vertrag und Transfermechanismus.

Ihr Verzeichnis: Dienstleister

Werden personenbezogene Daten in Drittländer übermittelt? Auf welcher Grundlage?

Ja, an Stripe Inc. (USA) auf Basis des EU-US Data Privacy Framework, ausschließlich zur Zahlungsabwicklung.

Ihr Verzeichnis: Transfers

Welche Meldefrist sagen Sie Kunden bei einer Datenschutzverletzung zu?

Bestätigte Vorfälle, die Ihre Daten betreffen, werden innerhalb von 48 Stunden nach Bestätigung gemeldet.

Ihr Verzeichnis: Meldeverfahren

Verarbeitet eines Ihrer Tools unsere Daten mit KI? Wird damit trainiert?

Anthropic API ist für die Dokumenterstellung erfasst. Bestätigen Sie Vereinbarung, Trainingsbedingungen, Aufbewahrung und Verarbeitungsorte des aktiven Kontos, bevor Sie diese Antwort freigeben.

Ihr Verzeichnis: KI-Tools

Ist Mehrfaktor-Authentifizierung für alle Mitarbeitendenkonten verpflichtend?

Ja. Erzwungen für E-Mail und die zentralen Geschäftssysteme (Google Workspace, Xero, HubSpot).

Ihr Sicherheitsprofil: MFA

Wann war Ihr letzter externer Penetrationstest? Bitte Zusammenfassung beifügen.

Es wurde kein externer Test durchgeführt. Abhängigkeits-Scans laufen bei jedem Build, und Code-Review ist vor dem Merge Pflicht.

Ihr Sicherheitsprofil: Penetrationstest

Beschreiben Sie Häufigkeit von Backups und Wiederherstellungstests.

Tägliche Backups auf einen separaten Dienst. Wiederherstellung teilweise getestet: Dateien einmal zurückgeholt, noch keine vollständige Übung.

Ihr Sicherheitsprofil: Backups

Wie hoch ist die Deckungssumme Ihrer Cyber-Versicherung?

Ja, eine Cyber-Deckung besteht. Der Nachweis geht mit dem Paket mit, gültig bis 31. März 2027.

Ihre Dokumente: Cyber-Versicherungsnachweis

Nennen Sie zwei Kundenreferenzen, die wir kontaktieren dürfen.

Bleibt leer. Rowpa erfasst das nicht und rät nicht.

Das können nur Sie beantworten

Zehn Zeilen einer Beispielprüfung, aus dem Verzeichnis, dem Sicherheitsprofil und den hochgeladenen Nachweisen eines fiktiven Unternehmens. Die leere Zeile ist der Punkt. Nichts wird behauptet, was das Verzeichnis nicht hergibt.

Die Zeilen, die nur Sie beantworten können

Manche Zeilen lassen sich aus nichts entwerfen, was Sie schon haben, weil die Antwort eine Tatsache über die Welt ist: das Datum des letzten Penetrationstests, die Deckungssumme Ihrer Cyber-Versicherung, der Name Ihres Datenschutz-Ansprechpartners, ob eine bestimmte Person dieses Jahr geschult wurde.

Lassen Sie sie nicht leer und hoffen. Machen Sie stattdessen das:

Trennen Sie sie zuerst heraus. Zehn Minuten mit der Tabelle, jede Zeile markieren, die eine Angabe von jemand anderem braucht. Meist sind es weniger als ein Dutzend.
Schicken Sie jede an die Person, die es weiß, einzeln. Ihre Entwicklerin kennt das Pentest-Datum. Ihre Steuerberatung oder Ihr Makler kennt die Deckungssumme. Niemand braucht die ganze Tabelle, um eine Frage zu beantworten, und sie hinzuschicken sorgt garantiert dafür, dass sie spät zurückkommt.
Antworten Sie ehrlich mit "noch nicht". Hatten Sie noch nie einen Penetrationstest, sagen Sie das und sagen Sie, was Sie stattdessen tun: Abhängigkeits-Scans, ein Code-Review-Verfahren, was auch immer stimmt. Kunden lehnen Lieferanten viel häufiger wegen ertappter Übertreibung ab als wegen ihrer Größe.

Wie eine gute Antwort aussieht

Prüferinnen lesen Dutzende davon. Die, die durchgehen, haben dieselbe Form.

Konkret. Eine Zahl, ein Datum, ein Name, ein System. "Täglich, zu einem separaten Anbieter, 30 Tage Aufbewahrung" beantwortet die Backup-Zeile. "Ja" nicht.
Belegt. Sagen Sie, woher die Antwort stammt, und bieten Sie das Dokument an. Wer Ihre Herleitung sieht, muss nicht noch einmal nachfragen.
Widerspruchsfrei. Die Zeile zu Auftragsverarbeitern, die zu Transfers und die zum Hosting sind dieselbe Tatsache in drei Fragen. Widersprechen sie sich, wird die ganze Tabelle skeptisch gelesen.
Abgegrenzt. Antworten Sie für die Leistung, die Sie verkaufen. Nicht für das ganze Unternehmen, nicht für die Roadmap. Ausufernde eigene Antworten erzeugen Zusagen, die Sie nicht geben wollten.
Unterschrieben. Setzen Sie oben eine namentlich benannte Person und ein Datum hin. Das ändert, wie die Tabelle ankommt, denn es ist der Unterschied zwischen einem Dokument und einem ausgefüllten Formular.

Vier Fehler, die den Auftrag kosten

Überall Ja ankreuzen. Der schnellste Weg durchzufallen. Prüferinnen machen Stichproben, und ein widerlegtes Ja lässt sie jede andere Zeile noch einmal lesen.
Die Datenschutzerklärung als Antwort auf alles anhängen. Eine Datenschutzerklärung ist für die Öffentlichkeit geschrieben. Ein Fragebogen fragt nach Ihrem Betrieb. Zwei Dokumente, zwei Leserschaften.
Warten, bis jede Zeile perfekt ist. Nichts ist teurer als Schweigen. Schicken Sie die Tabelle zurück mit den beantworteten Zeilen, den als in Arbeit markierten Zeilen und einem Datum für den Rest.
Beim nächsten Mal wieder bei null anfangen. Die meisten Lieferanten werden öfter als einmal im Jahr gefragt und schreiben jedes Mal dieselben Antworten neu. Behalten Sie, was Sie geschrieben haben. Die zweite Tabelle sollte einen Bruchteil der ersten kosten.

Wenn Sie noch nichts aufgeschrieben haben

Dann wird der erste Fragebogen wehtun und jeder danach nicht, denn es ist jedes Mal dieselbe Arbeit. Das nützliche Minimum für einen kleinen Lieferanten ist: ein Verzeichnis, welche personenbezogenen Daten Sie zu welchem Zweck verarbeiten, eine Liste der Werkzeuge und Dienste, die sie berühren, samt Verträgen, eine Notiz, wo Daten das Land verlassen und auf welcher Grundlage, ein kurzes Meldeverfahren mit einer Stundenzahl darin, ein Weg für Anfragen und Beschwerden, und eine schlichte Beschreibung Ihrer Sicherheitslage, einmal beantwortet. Damit ist die Datenschutzhälfte fast jeder Tabelle beantwortet, und das ist ein Arbeitstag, kein Projekt.

Wie lange es dauern sollte

Für einen Lieferanten mit dem obigen Verzeichnis: ein Nachmittag für vierzig Zeilen, ein Tag für zweihundert, wovon das meiste auf das Nachfassen bei den wenigen Zeilen entfällt, die jemand anderen brauchen. Ohne Verzeichnis rechnen Sie mit einer Woche und damit, in einem halben Jahr dieselben Antworten noch einmal zu schreiben. Der Sinn, es einmal ordentlich zu machen, ist, dass der zweite Kunde eine Stunde kostet.

Preise

Dieser Leitfaden ist kostenlos und braucht kein Konto. Wenn Sie die Tabelle lieber nicht von Hand ausfüllen: laden Sie sie in Rowpa hoch, und es entwirft jede Zeile, die es aus Ihrem eigenen Verzeichnis und einem einmal ausgefüllten Sicherheitsprofil belegen kann, zeigt die Quelle neben jeder Antwort, markiert die Zeilen, die nur Sie beantworten können, und schreibt die freigegebenen Antworten in die Datei des Kunden zurück, in dessen Layout. Kostenlos hochladen, Layout bestätigen und jeden Entwurf lesen. 99 € einmalig (ein Fragebogen-Pass) für den Rest und den Export, bis zu 300 Fragen, keine hinterlegte Karte. Oder ab Starter 44 €/Monat für drei im Jahr. Alle Preise zzgl. MwSt.

Kostenlos starten Alle Tarife

Häufige Fragen

Der Kunde will sie in drei Tagen zurück und ich habe so etwas noch nie gemacht. Womit fange ich an?

Teilen Sie die Tabelle in die vier obigen Gruppen, beantworten Sie die Firmenangaben und die Datenschutzzeilen selbst, schicken Sie die zwei, drei Zeilen, die jemand anderen brauchen, sofort raus, damit sie parallel laufen, und geben Sie die Tabelle pünktlich zurück, mit den restlichen Zeilen als in Arbeit und einem Datum. Pünktlich und teilweise fertig schlägt spät und perfekt, jedes Mal.

Darf ich eine Zeile unbeantwortet lassen?

Ja, und manchmal sollten Sie. Fragt eine Zeile nach etwas, dessen Offenlegung selbst ein Sicherheitsrisiko wäre, sagen Sie das und bieten Sie eine Alternative an: eine Zusammenfassung statt des vollständigen Pentest-Berichts, eine Bestätigung statt eines Netzplans. Prüferinnen akzeptieren das routinemäßig. Was sie nicht akzeptieren, ist eine leere Zelle.

Wir sind fünf Leute. Fallen wir damit durch?

Nicht wegen der Größe. Kunden bewerten Lieferanten im Verhältnis zu dem, was der Lieferant berührt, und wer widerspruchsfreie, konkrete, ehrliche Antworten von einem Fünf-Personen-Betrieb sieht, sieht weniger Risiko als bei vagen Antworten von einem mit fünfzig. Man fällt durch, weil man ertappt wird, nicht weil man klein ist.

Sie haben ein Portal geschickt statt einer Tabelle.

Dieselbe Arbeit, schlechtere Ergonomie. Kopieren Sie die Fragen in ein Dokument, beantworten Sie sie dort, wo Sie nachdenken und sie wiederverwenden können, und fügen Sie sie dann ein. Antworten Sie nie direkt im Portalformular: Sie verlieren alles Geschriebene für das nächste Mal.

Brauchen wir ISO 27001 oder SOC 2, um zu bestehen?

Für die meisten kleinen Lieferanten nein. Zertifikate beantworten mehrere Zeilen auf einmal und verkürzen das Gespräch, aber den Fragebogen gibt es, weil der Kunde Konkretes über Ihre Leistung wissen will. Beantworten Sie das Konkrete gut, und das fehlende Zertifikat ist eine Zeile im Risikoregister, keine Absage.

Und wenn wir in drei Monaten wieder gefragt werden?

Dann sollten Sie es in einer Stunde schaffen. Behalten Sie jede geschriebene Antwort, halten Sie das Verzeichnis aktuell, aus dem sie stammen, und behandeln Sie den zweiten Fragebogen als Prüfung des ersten statt als neue Übung. Das ist das ganze Argument dafür, ein Verzeichnis zu führen statt Antworten zu schreiben.

Weiterlesen

Laden Sie die Tabelle hoch. Sehen Sie, wie viel schon beantwortet ist.

Kostenlos hochladen, Layout bestätigen und jeden Entwurf lesen. 99 € einmalig für den Rest und den Export in die Datei des Kunden.

Sehen, was Rowpa entwerfen kann